Hälyttävät aurinkoenergiajärjestelmän viat voivat antaa hakkereiden häiritä sähköverkkoja

Kasvava riippuvuus aurinkoenergiasta saattaa luoda kyberturvallisuusriskeille uuden rajan. Kyberturvallisuusyhtiö Forescoutin äskettäinen tutkimus on paljastanut huolestuttavan haavoittuvuuksien aallon, jotka vaikuttavat suurten valmistajien Sungrow'n, Growattin ja SMA:n aurinkovoimajärjestelmien tuotteisiin. Löydökset herättävät vakavaa huolta nykyaikaisen energiainfrastruktuurin sietokyvystä kyberhyökkäyksiä vastaan ja mahdollisesta laajamittainen häiriöstä.

Kymmenet haavoittuvuudet paljastavat aurinkoinfrastruktuurin

Forescoutin tiimi paljasti 46 uutta haavoittuvuutta, mikä on lisännyt yli 90:tä aiemmin luetteloitua vikaa aurinkoenergiajärjestelmissä viime vuosina. Uusin löytöjen aalto kohdistui tuotteisiin maailman 10 suurimmalta aurinkoenergiajärjestelmien toimittajalta, ja Sungrow, Growatt ja SMA erottuvat joukosta havaittujen ongelmien vakavuuden ja monimuotoisuuden vuoksi.

Näiden aurinkojärjestelmien ytimessä ovat invertterit – laitteet, jotka muuttavat aurinkopaneelien tuottaman tasavirtasähkön käyttökelpoiseksi vaihtovirtalähteeksi. Nämä invertterit sisältävät usein Internetiin liitettyjä komponentteja valvontaa, ohjausta ja etäkäyttöä varten pilvialustojen ja mobiilisovellusten kautta. Valitettavasti nämä digitaaliset ominaisuudet tekevät aurinkoinfrastruktuurista houkuttelevan hyökkäyspinnan kyberrikollisille.

Mitä tutkijat löysivät

• SMA : Yksi, mutta vakava haavoittuvuus antaa hyökkääjille mahdollisuuden ladata haitallisen tiedoston pilvialustaan, mikä voi johtaa mielivaltaiseen koodin suorittamiseen SMA:n palvelimella – kriittinen riski, jos sitä ei korjata.
• Growatt : Tutkijat tunnistivat hämmästyttävät 30 haavoittuvuutta. Näitä puutteita ovat muun muassa cross-site scripting (XSS), etähallintaominaisuudet, tietojen paljastamiseen liittyvät ongelmat ja jopa reitit, joilla hyökkääjät voivat aiheuttaa fyysistä vahinkoa aurinkoinfrastruktuurille.
• Sungrow : Yli tusina haavoittuvuutta paljastettiin, kuten turvattomat suorat objektiviittaukset (IDOR), palvelunestohaavoittuvuudet (DoS) ja koodin etäsuorittamisen uhat. Nämä voivat johtaa luvattomaan käyttöön, palvelun keskeytymiseen tai kyseisten laitteiden täydelliseen vaarantumiseen.

Miksi tällä on merkitystä: uhka sähköverkolle

Ehkä hälyttävin on mahdollisuus, että hyökkääjät saavat hallintaansa Internetiin kytkettyjen invertterien laivaston. Forescoutin mukaan suuren määrän näitä laitteita kaappaaminen voisi antaa kyberrikollisille mahdollisuuden horjuttaa sähköverkkoja joko manipuloimalla energiansyöttöä tai aiheuttamalla synkronoituja häiriöitä.

Kuvittele, että sadat tai tuhannet vaarantuneet invertterit sammuvat yhtäkkiä tai ne on määritetty väärin. Vaikutus voi levitä paikallisiin tai jopa kansallisiin verkkoihin aiheuttaen katkoksia, lisääntyvää kysyntää varajärjestelmissä ja aiheuttaa taloudellisia tappioita sähkölaitoksille ja operaattoreille.

Verkkohäiriöiden lisäksi vaarantuneita aurinkojärjestelmiä voitaisiin hyödyntää:

• Henkilötietojen varkaus – mukaan lukien pilvipalveluihin yhdistettyihin järjestelmiin linkitetyt asiakastiedot.
• Sivuttaiset verkkohyökkäykset – joissa hyökkääjät siirtyvät vaarantuneista inverttereistä muihin herkkiin laitteisiin samassa verkossa.
• Energiamarkkinoiden manipulointi – tuotanto- tai suorituskykytietojen peukalointi.
• Ransomware-hyökkäykset – aurinkoinfrastruktuurin pitäminen panttivankina, kunnes lunnaat maksetaan.

Paikkauksen edistyminen ja toimittajan vastaus

Asianomaisille myyjille on ilmoitettu. Sekä SMA että Sungrow vastasivat nopeasti, korjasivat kaikki tunnistetut haavoittuvuudet ja julkaisivat neuvoja asiakkaille. Yhdysvaltain kyberturvallisuus- ja infrastruktuuriturvavirasto (CISA) toisti tämän kiireellisyyden antamalla omia neuvojaan, jotka korostivat näiden tuotteiden laajaa käyttöä maailmanlaajuisella energiasektorilla.

Growatt on kuitenkin käsitellyt vain muutamia raportoiduista ongelmista. Helmikuun 2025 lopulla suurin osa sen tuotteiden haavoittuvuuksista on edelleen korjaamatta – mikä on huolestuttava tila yhdelle johtavista aurinkoinvertteribrändeistä.

Kuinka käyttäjät voivat pysyä suojattuna

Aurinkoenergiajärjestelmien turvaaminen vaatii samaa kyberturvallisuuden huolellisuutta kuin mikä tahansa muu kytketty infrastruktuuri. Forescout ja NIST suosittelevat seuraavia parhaita käytäntöjä:

• Vaihda oletussalasanat ja ota käyttöön vahva todennus.

Forescout neuvoo myös kaupallisia aurinkosähköoperaattoreita sisällyttämään turvallisuusvaatimukset hankintasopimuksiin ja suorittamaan säännöllisiä riskiarviointeja.

Kun aurinkoteknologia integroituu yhä enemmän sähköverkkoihin, sen turvallisuudesta tulee yhtä kriittistä kuin sen tehokkuudesta. Forescoutin paljastamat haavoittuvuudet ovat jyrkkä muistutus siitä, että puhdas energia ei automaattisesti tarkoita turvallista energiaa. Ilman ennakoivia kyberturvallisuustoimenpiteitä samoista kestävyyttä edistävistä järjestelmistä voi tulla heikko lenkki kriittisessä infrastruktuurissamme.

Operaattoreiden, myyjien ja käyttäjien on toimittava nyt – ennen kuin kyberhyökkääjät saavat mahdollisuuden vaihtaa kytkintä.